Yearn Finance начинает возврат средств после взлома на сумму 9 млн долларов и вернет вкладчикам 2,39 млн долларов

Компания Yearn Finance начала процесс восстановления средств, украденных 30 ноября, когда злоумышленник на сумму 9 миллионов долларов поразил ее пул стейблкоинов yETH.

Протокол DeFi объявил об успешном возврате активов на сумму 2,39 млн долларов, которые будут возвращены пострадавшим вкладчикам.

Как сообщает Cryptopolitan, атака произошла в 21:11 UTC и была нацелена на пользовательскую версию кода stableswap. Yearn Finance подтвердила, что ее основные продукты V2 и V3 для хранения средств не пострадали от инцидентаdent остаются безопасными для пользователей.

Yearn Finance вернула 2,39 млн долларов США благодаря скоординированным усилиям

В протоколе объявлено о восстановлении 857,49 pxETH на сумму 2,39 млн долларов США в результате совместной операции команд Plume и Dinero. Компания Yearn Finance заявила, что процесс восстановления всё ещё продолжается, и любые другие возвращённые активы будут возвращены пострадавшим вкладчикам.

Операция по возврату средств была проведена всего через несколько дней после первоначальной атаки. Совместная работа SEAL911 и аудиторского партнёра ChainSecurity продолжается, пока продолжается полное постмормонское расследование. Меры безопасности включают tracперемещения украденных активов и работу по предотвращению дальнейших потерь.

Обновление yETH: При содействии команд Plume и Dinero было проведено скоординированное восстановление 857,49 pxETH (2,39 млн долларов США). Работы по восстановлению продолжаются. Все успешно восстановленные активы будут возвращены пострадавшим вкладчикам.https://t.co/xaClNhd0C0

— yearn (@yearnfi) 1 декабря 2025 г.

Анализ эксплойта на 9 миллионов долларов

В общей сложности оба пула потеряли около 9 миллионов долларов. Больше всего пострадал пул stableswap, потерявший около 8 миллионов долларов. Curve также пострадал, поскольку yETH-WETH Stableswap потерял ещё 900 000 долларов.

Злоумышленник воспользовался уязвимостью, позволившей выпустить большое количество токенов yETH. Согласно предварительному анализу Yearn Finance, хакер выпустил около 235 триллионов yETH без предоставления необходимого залога.

Используя завышенный баланс токенов, злоумышленник смог обменять необеспеченный yETH на законные ликвидные активы для стейкинга, такие как stETH, rETH и cbETH из пула stableswap и завернутый Ethereum из пула Curve.

Раскрыта уязвимость устаревшего пула

Этотtracпредставлял собой модифицированную версию одного из популярных кодов стейблсвопа и неdent от остальных продуктов Yearn Finance. В протоколе подчёркивалось, что ни один другой продукт Yearn не использует код, аналогичный скомпрометированному в ходе атаки.

Уязвимость была связана со старым, устаревшимtrac, связанным с токеном yETH. Это позволило злоумышленнику выпускать новые токены без необходимого залогового обеспечения, фактически создавая токены из воздуха.

Yearn Finance пояснила, что первоначальный анализ оценивает этот взлом по уровню сложности, аналогичному недавнему эксплойту Balancer. Пул стейблсвопов yETH не был подключен к основной инфраструктуре хранилищ Yearn V2 и V3, что помогло изолировать взлом и тем самым предотвратить распространение эксплойта на основные продукты компании.

Злоумышленник отмывает деньги через миксер

Через несколько часов после атаки злоумышленник начал перемещать украденные активы, чтобы замести следы. Около 1000 ETH на сумму около 3 миллионов долларов были впоследствии переведены на криптовалютный миксер Tornado Cash.

По состоянию на 1 декабря на адресе кошелька злоумышленника 0xa80d.c822 оставалось около 6 миллионов долларов украденных средств. Оставшиеся средства состояли в основном из застейканных деривативов ETH, которые ещё не были отмыты.

Команда Yearn Finance сделала чёткие заявления о том, что основные продукты их хранилищ не подвержены уязвимости. Хранилища V2 и V3 находятся в отдельном смарт-trac, а их кодовая база отличается от базы уязвимого устаревшего пула.

Пользователям, у которых были средства в хранилищах Yearn V2 и V3, не нужно было ничего делать. В протоколе пояснялось, чтоdent , произошедший 30 ноября, затронул только вкладчиков в конкретном пуле стейблсвопа yETH.

Ноябрьскиеdentкриптобезопасности

Взлом Yearn Finance завершил сложный месяц для криптобезопасности. В ноябре 2025 года потери на нескольких известных платформах и протоколах составили почти 200 миллионов долларов.

месяцаdenttractrac tractractractrac tractracЮжнокорейская биржа Upbit пострадала от взлома «горячего кошелька», что привело к убыткам в размере от 30 до 38 миллионов долларов.

Другиеdentноября включали поглощение смарт-tracна сумму 3,1 млн долларов США в GANA Payment и убытки примерно в 5 млн долларов США в Hyperliquid из-за манипулирования ценами.